OpenVPN د HTTP پراکسي له لارې: لومړی د CONNECT ځواب ولولئ
د CONNECT پراکسي بایټونه لېږدوي، نو دواړو خواوو ته TCP ته اړتیا ده۔ له سندونو تورنولو مخکې 407، 403 او 503 ولولئ، او د سرور تایید فعال وساتئ۔
یو VPN کلاینټ د شرکت HTTP پراکسي ته وګرځوئ، او لومړی ګټور حقیقت دا دی چې پراکسي د VPN پروتوکول نه وایي۔ هغه ستاسو د ذکر شوې پتې ته یو عادي TCP اړیکه پرانیزي او بیا یوې خوا ته ځي، ستاسو کلاینټ او سرور ته اجازه ورکوي چې خپله تبادله د همدې جریان له لارې وکړي۔ هر هغه څه چې کلاینټ ورته اړتیا لري، د لېږد ډول څخه تر سرور اورېدونکي پورې، باید دې ترتیب سره سمون ولري۔ دوه ناسمې سمونې ډېری ناکامۍ تشریح کوي: د CONNECT پراکسي ته د UDP پروفایل، او د پراکسي ځواب چې د VPN تېروتنه ګڼل کېږي۔
پراکسي څه وړي او څه نه وړي
پراکسي یوازې د لېږد یو پړاو دی۔ هغه ستاسو د براوزر پراکسي نه کېږي، هغه سایټونه چې تاسو د تونل له لارې ګورئ کیش نه کوي، او داخلي ترافیک نه ویني پرته له دې چې چا په قصد سره پلټنه تنظیم کړې وي۔ هغه تونل چې پرانیزي، د ډیزاین له مخې ورته ناڅرګند دی۔
دا پدې معنا هم ده چې پراکسي هغه سرور نشي سمولای چې سمون ورته اورېدونکی نلري۔ د یو هدف ته رسېدو اجازه او په هغه هدف کې اورېدونکې خدمت دوه جلا حقایق دي، او یوازې لومړی د پراکسي مدیر پورې اړه لري۔
وړونکی باید په دواړو خواوو کې TCP وي
دودیز CONNECT پراکسي یوازې د بایټ جریان لېږدوي ، نو کلاینټ باید د جریان لېږد وکاروي۔ د دې حالت لپاره د کلاینټ ټوټه داسې ښکاري:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128د سرور اړخ ته په remote کرښه کې ذکر شوي پورټ کې ریښتینی TCP اورېدونکی ته اړتیا ده۔ په پروفایل کې proto udp په proto tcp-client بدلول هغه کلاینټ جوړوي چې جریان ته انتظار دی؛ هغه بل اړخ ته جریان نه جوړوي۔ که همغه سرور په هغه پورټ کې د UDP له لارې هم ځواب وایي، هغه بل اورېدونکی دی، نه د هماغه دوهم حالت۔
چېرې چې جلا TCP نمونه شته، د هغې تونل وسیله، د پتو حوض او روټینګ خپلې سرچینې دي۔ د کار کوونکې ترتیب کاپي کول او د لېږد کلمه بدلول هغه سرچینې لاهم اصلي نمونې ته اشاره کوونکې پریږدي، چې یو داسې اړیکه جوړوي چې تایید کېږي او بیا هېڅ روټ نه کوي۔
له VPN پایلې مخکې د پراکسي ځواب ولولئ
د کلاینټ لومړنۍ تبادله یوه غوښتنلیک کرښه ده چې د هدف کوربه او پورټ نوموي۔ د هغې کرښې ځواب تاسو ته وایي چې ایا د بایټ جریان شته، او دا د هر سند یا اعتبارنامې له کتلو مخکې راځي:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
CONNECT ته د 200 ټولګي ځواب معنا دا ده چې جریان شته۔ دا هېڅ نه وایي چې ایا د ګېټوې سند باوري دی، ایا ګډ کیلي سمون لري، یا ایا د کاروونکي حساب معتبر دی۔ هغه کتنې وروسته، د جریان دننه ترسره کېږي، او دوی د HTTP حالت کرښې پرځای د کلاینټ په خپلو پیغامونو ناکامېږي۔ د کلاینټ لاګ کې لومړنۍ OpenVPN پېښه د پراکسي لاس ورکولو وروسته وګورئ، نه د کړکۍ بندېدو مخکې وروستۍ کرښه۔
د پراکسي اعتبارنامې او د VPN اعتبارنامې ډېری وختونه جلا پیژندنې وي چې جلا ټیمونه یې لري۔ 407 د VPN حساب ناسم پټنوم نه دی، او رد شوی سند د پراکسي اجازې ستونزه نه ده۔
CONNECT څه نه ښکاره کوي
روښانه CONNECT تونل شنود نه دی۔ پراکسي بایټونه لېږدوي او د VPN TLS ناسته نه پای ته رسوي، نو د سرور سند د کلاینټ تایید بې معنا پاتې کېږي او باید فعال پاتې شي۔ د پراکسي تېرېدو لپاره تایید بندول ستاسو له ستونزې جلا ستونزه حل کوي۔
جلا ترتیبات شته چېرې چې یو سازمان په قصد سره TLS پای ته رسوي او پلټنه کوي۔ هغوی خپل باور ترتیب او خپله پالیسي پریکړه غواړي، او هغه څه نه دي چې یوه عادي http-proxy کرښه یې غواړي۔
د TCP دننه د TCP لګښت
تونل د TCP له لارې وړل بهرنی جریان منظم او بیا لېږل شوی ساتي، او داخلي ترافیک هم معمولا TCP وي۔ دواړه بیا رغولو میکانېزمونه همغږي نه کوي، نو یو ورک شوی برخه کولای شي هر هغه څه ودروي چې همغه بهرنی جریان شریکوي تر څو چې بیا ولېږل شي۔ دا د سازګارۍ لپاره ریښتینې تبادله ده، نه وړیا لوړوالی۔
کله چې شبکه بله لار نه پریږدي د پراکسي لاره وکاروئ، او چېرې چې پالیسي اجازه ورکوي مستقیمه UDP لاره غوره کړئ۔ په هر حال، له بدلون وروسته تایید کړئ چې همغه پراکسي، هدف او پروفایل بل پړاو ته رسېږي؛ هغه براوزر چې په دې پته کې پاڼه پورته کوي بل پروتوکول کاروي او د تونل په اړه هېڅ نه ثابتوي۔